Tak. Wystarczy, że taka firma śledzi zachowanie użytkowników Internetu albo w inny sposób przetwarza dane osób mieszkających na terenie UE – i już podlega nowej regulacji. Nie ma przy tym znaczenia lokalizacja jej biura czy serwerów.

Tak. Twój pracodawca, tak samo jak każda inna firma/organizacja, która przetwarza dane osobowe, ma obowiązek przestrzegać RODO. Każde państwo członkowskie UE może też, w ramach swojego terytorium, doprecyzować przepisy regulujące ochronę danych w miejscu pracy. Więcej informacji o polskich regulacjach znajdziesz na stronie Urzędu Ochrony Danych Osobowych.

Każde państwo ma swój organ odpowiedzialny za ochronę danych osobowych, którego zadaniem jest dbanie o to, by różne podmioty przetwarzały dane zgodnie z przepisami (w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych – UODO). Jeśli uważasz, że Twoje prawa zostały naruszone, możesz złożyć skargę do Prezesa UODO lub od razu do sądu.

Część firm przywykła do traktowania Twoich danych jak darmowego zasobu, który można zawłaszczyć i eksploatować dla zysku bez pytania Cię o zgodę; zasobu, który można było bez ograniczeń gromadzić na serwerach, niespecjalnie dbając o jego bezpieczeństwo. RODO to potężne narzędzie, które zmusza firmy, by zweryfikowały, jakie ryzyko wiąże się z takim podejściem (nie tylko dla osób, których dane przetwarzają, ale też – w kontekście potencjalnych kar i utraty zaufania klientów – dla nich samych), a także do tego, by w rozsądny sposób dbały o Twoje dane, tak jak powinny to były robić od samego początku.

Informacje na temat przetwarzania Twoich danych oraz ich pierwszą kopię administrator musi Ci udostępnić nieodpłatnie. Za kolejne kopie danych firma lub organizacja mogą pobrać rozsądną opłatę w wysokości kosztów administracyjnych (np. kosztów wysyłki). Firma lub organizacja nie może jednak czerpać zysku z takiej opłaty. Jeśli czujesz, że opłata jest za wysoka, możesz skontaktować się z Prezesem Urzędu Ochrony Danych Osobowych.

Oczywiście! RODO nakazuje wszystkim firmom i organizacjom odpowiadać na pytania o to, co robią z danymi osobowymi. Przede wszystkim możesz dowiedzieć się, czy przetwarzają również Twoje dane, a jeśli tak, to w jakim celu, jak długo będą to robić i komu je przekazują. A jeśli kiedyś postanowisz wycofać swoją zgodę na przetwarzanie danych albo uznasz, że chcesz się sprzeciwić niektórym praktykom, firmy i organizacje powinny nie tylko umożliwić Ci łatwe zakomunikowanie tego, ale też odpowiednio zareagować (tj. przestać przetwarzać dane w tym zakresie).

Niezupełnie. Nie możesz tak po prostu usunąć swoich danych, kiedy tylko zechcesz. Ale w pewnych konkretnych sytuacjach, rzeczywiście, możesz zażądać ich usunięcia – np. jeśli firma/organizacja już nie potrzebuje tych danych, żeby świadczyć Ci usługę, z której korzystasz albo jeśli zdecydowałaś/-eś się wycofać zgodę na przetwarzanie dodatkowych danych. Nawet w takich sytuacjach mogą się pojawić ważne powody, które sprawią, że firma/organizacja będzie musiała przez określony czas zatrzymać Twoje dane (np. do celów podatkowych albo żeby zabezpieczyć się przed ewentualnymi roszczeniami).

Nie. To firmy i organizacje, które przetwarzają Twoje dane, mają obowiązek je chronić. Po Twojej stronie zostaje jednak podjęcie ważnych decyzji.

• Jeśli firma, z której usług chcesz zacząć korzystać, prosi Cię o podanie dodatkowych danych, czy na pewno chcesz to zrobić? (Jeśli firma przetwarza tylko niezbędne dane, powinna Cię o tym poinformować, ale nie musi pytać Cię o zgodę na ich wykorzystanie. Musi uzyskać Twoją wyraźną zgodę tylko wtedy, kiedy chce przetwarzać dane, które nie są niezbędne).
• Czy akceptujesz to, w jaki sposób firmy, z których usług już dziś korzystasz, zbierają, analizują i przekazują Twoje dane? Jeśli nie, zawsze możesz powiedzieć „nie”.
• A jeśli uważasz, że Twoje prawa nie są przestrzegane, możesz poskarżyć się do Prezesa UODO, a nawet pozwać taką firmę/organizację do sądu.

1.Masz prawo do informacji.

• Firmy i organizacje mają teraz obowiązek informować Cię – jasnym i prostym językiem – jakie Twoje dane przetwarzają i po co to robią. („Przetwarzanie” oznacza każdą czynność związaną ze zbieraniem, łączeniem, analizowaniem czy przekazywaniem danych).
• Jeśli firma lub organizacja tworzy Twój profil (np. z danych pozyskanych z różnych źródeł), masz prawo wiedzieć, co się na niego składa.

2. Masz prawo do tego, żeby Twoje dane były odpowiednio zabezpieczone. RODO wymaga, żeby dane osobowe były przechowywane i przetwarzane w bezpieczny sposób. 3. Masz prawo w dowolnym momencie uzyskać dostęp do danych, które przetwarza o Tobie firma/organizacja.

• Jeśli dane są nieprawidłowe, możesz je skorygować lub uzupełnić.
• Jeśli dane nie są już potrzebne, możesz poprosić o ich usunięcie.
• Jeśli podasz firmie/organizacji więcej danych, niż jest to niezbędne do skorzystania z usługi, możesz w dowolnym momencie zmienić zdanie i zażądać ich usunięcia.

4. Masz prawo skorzystać z usługi, podając tylko niezbędne dane. Jeśli firma lub organizacja chce przetwarzać dane, które nie są niezbędne do dostarczenia konkretnej usługi (np. aplikacja przewozowa chce uzyskać dostęp do Twoich kontaktów), musi poprosić o wyraźną zgodę. (To, że firma uważa, że przetwarzanie pewnych danych leży w jej interesie, wcale nie znaczy, że są jej niezbędne). W dowolnym momencie możesz też cofnąć wyrażoną zgodę na przetwarzanie dodatkowych danych. 5. Jeśli decyzja w Twojej sprawie została podjęta za pomocą automatycznych środków, masz prawo:

• Uzyskać informacje o tym, w jaki sposób taka a nie inna decyzja została podjęta (tzn. masz prawo do informacji o zasadach działania automatycznego mechanizmu),
• Zakwestionować tę decyzję (np. ze względu na to, że bank nie przyznał Ci kredytu z powodu „nieprawidłowego” wyniku scoringu),
• Zażądać ludzkiej interwencji (osoba, której zgłosisz swoje zastrzeżenia, powinna zweryfikować, w jaki sposób decyzja została podjęta i czy ostateczny rezultat jest sprawiedliwy).

Firmy i organizacje powinny udostępnić Ci jasną procedurę, dzięki której możesz uzyskać dostęp do swoich danych. RODO nie precyzuje, w jakim formacie firma lub organizacja ma przekazać Ci kopię Twoich danych, ale wymaga, żeby ten format był „powszechnie używany” i „nadający się do odczytu maszynowego”. Pamiętaj, że jeśli kopię danych chcesz uzyskać, aby skorzystać z prawa do przeniesienia danych, otrzymasz tylko te dane, które sam/-a dostarczyłeś/-aś firmie lub organizacji (na podstawie zawartej umowy lub w oparciu o Twoją zgodę). O przeniesienie danych nie możesz poprosić firmy, z którą nie masz bezpośredniej relacji. Przykładowo, z takim wnioskiem nie możesz się zwrócić do firmy, która zebrała Twoje dane na innej stronie internetowej dzięki śledzącym skryptom albo plikom cookie. Natomiast zawsze - wobec każdego podmiotu, który ma Twoje dane - możesz wystąpić z wnioskiem o informację na ten temat. Zobacz, jak odzyskać swoje dane, w poradniku Fundacji Panoptykon „RODO na tacy. Odcinek V: Lekcje samoobrony, czyli jak skorzystać z praw, które daje RODO?”

Masz do wyboru kilka opcji:

• W pierwszej kolejności możesz poprosić firmę o kopię Twoich danych (żeby sprawdzić, co tak naprawdę na Twój temat wie). Zgodnie z RODO firma powinna poinformować Cię o tym, skąd ma Twoje dane, na jakiej podstawie prawnej je przetwarza i w jakim celu.
• Jeśli to Cię nie przekonuje (nadal uważasz, że firma wykorzystuje Twoje dane nielegalnie lub po prostu Ci się to nie podoba), możesz zażądać usunięcia swoich danych. Ale pamiętaj o tym, że jeśli w przeszłości z firmą łączyła Cię jakaś umowa, być może ma ona jeszcze prawny obowiązek przechowywania Twoich danych przez dłuższy czas.
• W końcu, jeśli uważasz, że zbierając Twoje dane firma działała nielegalnie, możesz złożyć skargę do Prezesa UODO lub pozew do sądu. Jak to zrobić, dowiesz się z poradnika Fundacji Panoptykon „RODO na tacy. Odcinek V: Lekcje samoobrony, czyli jak skorzystać z praw, które daje RODO?”

Zgodnie z RODO, zgoda musi być „dobrowolnym, konkretnym, świadomym i jednoznacznym okazaniem woli” osoby, której dane dotyczą. Powinna być wyrażona w drodze wyraźnego działania potwierdzającego, przez które zgadzasz się na zaproponowane przez firmę lub organizację warunki przetwarzania Twoich danych. Możesz wyrazić zgodę poprzez zaznaczenie okienka na stronie internetowej albo w inny sposób, tak długo jak z okoliczności jasno wynika, że chcesz powiedzieć: „tak, zgadzam się”. Zgoda nie może być wyinterpretowana z braku Twojej aktywności czy z przypadkowego działania. Dalsze korzystanie z serwisu albo zamknięcie okienka zawierającego informację o przetwarzaniu danych jeszcze nie oznacza, że się na cokolwiek zgadzasz. Tylko „wyraźne działania potwierdzające” mogą być uznane za skuteczne wyrażenie zgody. Na przykład, wpisanie adresu e-mail w polu zapisu na newsletter może być uznane za zgodę na przetwarzanie danych w tym celu. Zgoda nie może być w żaden sposób wymuszona (z taką sytuacją masz do czynienia np. wtedy, gdy zgoda jest warunkiem dalszego korzystania z usługi), nie może być też „zaszyta” w regulaminie. Zgodnie z RODO nie da się “jednym kliknięciem” zaakceptować regulaminu świadczenia usługi ORAZ wyrazić zgody na przetwarzanie danych osobowych. To powinny być osobne czynności. Pamiętaj jednak, że:

1. Firmy często w ogóle nie muszą pytać Cię o zgodę, ponieważ mogą przetwarzać Twoje dane w oparciu o inne podstawy prawne (np. wtedy, gdy jest to niezbędne do świadczenia Ci usługi albo gdy firma ma w tym swój uzasadniony interes);
2. Firmy mogą wymagać tego, że zaakceptujesz nowy regulamin świadczonej usługi (to standard, że ogólne warunki świadczenia usług nie podlegają negocjacji), ale pod warunkiem, że nie została w nim ukryta klauzula zgody na przetwarzanie danych. Polityka prywatności (lub inne, niepodlegające negocjacjom dokumenty) mogą odnosić się jedynie do danych, które są niezbędne do korzystania z danej usługi.

Więcej o zgodzie dowiesz się z poradnika Fundacji Panoptykon „RODO na tacy. Odcinek II: Fair play – czyli o szacunku dla naszych wyborów”.

Z perspektywy użytkownika nie zawsze jest oczywiste, czy administrator poważnie potraktował zasadę privacy by design. W praktyce może się ona przekładać na różne rozwiązania, które są wbudowane – jako podstawowe funkcjonalności – w specyfikację techniczną czy praktyki biznesowe. Pewne rzeczy widać jednak bez wchodzenia na zaplecze. Korzystając z usługi czy produktu, jesteś w stanie określić podstawowe funkcjonalności i wyłapać te, które świadczą o tym, że administrator dobrze zaprojektował procesy przetwarzania danych i rzeczywiście stara się chronić Twoją prywatność.Oto kilka przykładów takich rozwiązań: przyjazny interfejs dostępu do danych i zarządzania ustawieniami prywatności, szyfrowanie typu end-to-end (na całej drodze przesyłu danych), obowiązkowa autoryzacja (najlepiej dwustopniowa). Więcej na ten temat znajdziesz w poradniku Fundacji Panoptykon „RODO na tacy. Odcinek III: O prawie do bezpieczeństwa i beztroski”.